如何实现端口转发 iptablesNAT规则-linux运维-PHP中文网

如何实现端口转发 iptablesNAT规则

P粉602998670

发布： 2025-08-05 14:22:01

原创

266人浏览过

实现端口转发的核心是开启ip转发、配置dnat规则和放行forward链。1. 临时或永久开启ip转发：执行sysctl -w net.ipv4.ip_forward=1或修改/etc/sysctl.conf并运行sysctl -p；2. 配置dnat规则：使用iptables -t nat -a prerouting -p tcp --dport 2222 -j dnat --to-destination 192.168.1.100:22将外部请求转发到内网服务；3. 可选配置snat/masquerade：若目标主机不在直连网段，需添加postrouting规则确保回包正确；4. 放行forward链：通过iptables -a forward -p tcp -d 192.168.1.100 --dport 22 -j accept允许转发流量；5. 保存规则：根据系统使用service iptables save或iptables-save > /etc/iptables/rules.v4防止重启丢失；6. 验证配置：使用iptables -t nat -l -n -v查看nat规则，tcpdump抓包确认连通性，确保三项关键配置完整生效。

如何实现端口转发 iptablesNAT规则

实现端口转发的核心是使用

iptables

登录后复制

的

NAT

登录后复制

（网络地址转换）表，特别是

PREROUTING

登录后复制

链中的

DNAT

登录后复制

规则，将进入的数据包的目标地址和端口进行修改，从而实现外部访问内部服务的目的。

下面以常见的 Linux 系统为例，介绍如何配置

iptables

登录后复制

实现端口转发。

一、开启内核 IP 转发功能

在进行 NAT 转发前，必须先启用系统的 IP 转发功能，否则数据包无法跨网络接口转发。

# 临时开启（重启后失效）
echo 1 > /proc/sys/net/ipv4/ip_forward

# 或使用 sysctl 命令
sysctl -w net.ipv4.ip_forward=1

登录后复制

若要永久生效，修改

/etc/sysctl.conf

登录后复制

文件：

net.ipv4.ip_forward = 1

登录后复制

然后执行：

sysctl -p

登录后复制

二、配置 DNAT 规则实现端口转发

假设你的服务器有公网 IP，想把外部访问本机的 2222 端口 转发到内网另一台机器

192.168.1.100

登录后复制

的 22 端口（SSH 服务），可以使用如下

iptables

登录后复制

命令：

iptables -t nat -A PREROUTING -p tcp --dport 2222 -j DNAT --to-destination 192.168.1.100:22

登录后复制

说明：

```
-t nat
```
登录后复制
：操作
```
NAT
```
登录后复制
表
```
-A PREROUTING
```
登录后复制
：在数据包进入时进行目标地址转换
```
-p tcp
```
登录后复制
：指定协议为 TCP
```
--dport 2222
```
登录后复制
：外部访问的端口
```
-j DNAT
```
登录后复制
：执行目标地址转换
```
--to-destination 192.168.1.100:22
```
登录后复制
：转发到的目标 IP 和端口

三、配置 SNAT/MASQUERADE（可选）

如果目标主机不在本机直连网段，或需要通过本机作为网关访问外网，还需配置源地址转换（SNAT），确保返回的数据包能正确回到客户端。

例如，使用 MASQUERADE（适用于动态 IP）：

iptables -t nat -A POSTROUTING -d 192.168.1.100 -p tcp --dport 22 -j MASQUERADE

登录后复制

或者使用 SNAT（固定出口 IP）：

ViiTor实时翻译

AI实时多语言翻译专家！强大的语音识别、AR翻译功能。

116

查看详情

iptables -t nat -A POSTROUTING -d 192.168.1.100 -p tcp --dport 22 -j SNAT --to-source 本机内网IP

登录后复制

注意：如果转发目标在同一个局域网，且路由可达，有时可以省略 SNAT。

四、确保 FORWARD 链允许流量（重要）

NAT 只负责地址转换，实际数据包是否能通过，还受

filter

登录后复制

表的

FORWARD

登录后复制

链控制。需确保允许转发流量：

iptables -A FORWARD -p tcp -d 192.168.1.100 --dport 22 -j ACCEPT

登录后复制

如果需要更宽松策略（测试环境可用）：

iptables -P FORWARD DROP  # 默认策略（谨慎设置）
# 然后显式放行需要的流量
iptables -I FORWARD -d 192.168.1.100 -p tcp --dport 22 -j ACCEPT
iptables -I FORWARD -s 192.168.1.100 -p tcp --sport 22 -j ACCEPT

登录后复制

五、保存规则（防止重启丢失）

不同发行版保存方式不同：

CentOS/RHEL：

service iptables save
# 或
iptables-save > /etc/iptables/rules.v4

登录后复制

Ubuntu/Debian：
```
iptables-save > /etc/iptables/rules.v4
```
登录后复制
安装
```
iptables-persistent
```
登录后复制
包可自动加载。

六、常用检查命令

查看 NAT 规则：

iptables -t nat -L -n -v

登录后复制

查看 filter 表 FORWARD 链：

iptables -L FORWARD -n -v

登录后复制

抓包验证：

tcpdump -i eth0 port 2222
tcpdump -i internal_interface host 192.168.1.100

登录后复制

示例：将公网 80 端口转发到内网 Web 服务器

# 开启转发
sysctl -w net.ipv4.ip_forward=1

# 端口转发规则
iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 192.168.1.50:80

# 源地址伪装
iptables -t nat -A POSTROUTING -j MASQUERADE

# 允许 FORWARD 流量
iptables -A FORWARD -d 192.168.1.50 -p tcp --dport 80 -j ACCEPT
iptables -A FORWARD -s 192.168.1.50 -p tcp --sport 80 -j ACCEPT

登录后复制

基本上就这些。关键点是：开启转发 + DNAT + FORWARD 放行，三者缺一不可。规则写完建议测试连通性并检查日志。

以上就是如何实现端口转发 iptablesNAT规则的详细内容，更多请关注php中文网其它相关文章！